Let’s Encrypt证书选择R10/R11还是E5/E6？

Let’s Encrypt R10/R11 和 Let’s Encrypt E5/E6 证书的 key type（RSA 和 ECDSA）主要区别在于它们使用的签名算法和密钥体系，具体区别可以从以下几个方面理解：

1. 加密算法基础

• RSA（R10或R11证书）：基于 大数质因数分解 的数学问题。RSA 算法依赖于两个大质数相乘生成的公钥，攻击者很难通过分解这个大数来推导出私钥。
• ECDSA（E5或E6证书）：基于 椭圆曲线离散对数问题（ECDLP）。在椭圆曲线密码学中，通过椭圆曲线上的点乘生成的公钥非常难通过逆向推导出私钥。这种加密方式在同等安全性下比 RSA 更加高效。

2. 密钥长度与安全性

• RSA 2048（R10/R11）：
  • 使用 2048 位密钥。
  • 提供的安全性相当于大约 112 位 对称加密的安全强度。
  • 对于现代标准来说，RSA 2048 被认为是足够安全的。
• ECDSA P-384（E5/E6）：
  • 使用 384 位 椭圆曲线密钥。
  • 提供的安全性相当于大约 192 位 对称加密的安全强度。
  • ECDSA P-384 提供的安全性相当于RSA 7680，显著高于 RSA 2048，虽然密钥长度要短得多，但因为椭圆曲线密码学的复杂性，提供了更高的安全性。

备注：Let’s Encrypt 接受长度为 2048、3072 或 4096 位的 RSA 密钥（如果不指定key size，默认是2048），以及 P-256 或 P-384 ECDSA 密钥（如果不指定默认是P-384）。

安全强度	RSA 密钥长度	ECDSA 曲线类型
80 位	1024	160
112 位	2048	224
128 位	3072	256
192 位	7680	384
256 位	15360	512

3. 计算效率

• RSA 2048：
  • 由于 RSA 算法需要更大的密钥和较为复杂的质因数分解问题，计算成本较高。在现代计算设备上，RSA 签名和验证操作都比 ECDSA 操作更慢。
  • 在资源受限的设备上，如移动设备、物联网设备，使用 RSA 会导致较高的计算开销。
• ECDSA P-384：
  • 椭圆曲线加密算法比 RSA 更高效，在同等安全性下，计算复杂度要低得多。
  • 由于 ECDSA 使用的密钥更短，它在签名和验证操作中都比 RSA 快得多，因此非常适合高性能和低计算资源的场景，比如移动设备和 IoT 设备。

4. 密钥大小与带宽

• RSA 2048：
  • RSA 2048 位密钥较长，在传输证书或验证签名时，占用的带宽较大。
  • 对于低带宽网络或需要快速传输的应用来说，较长的密钥可能会增加额外的负载。
• ECDSA P-384：
  • ECDSA 使用的密钥长度更短（384 位），传输证书时占用的带宽更少。
  • 这使得 ECDSA 更适合低带宽环境，可以减少握手时的数据传输量，加快连接速度。

5. 兼容性

• RSA 2048：
  • RSA 是更为传统和广泛支持的算法，几乎所有的浏览器、服务器和操作系统都默认支持 RSA。
  • 如果网站希望保持较高的兼容性，特别是在一些旧设备或软件中，选择 RSA 2048 是一个更通用的方案。
• ECDSA P-384：
  • 椭圆曲线加密虽然更高效，但在某些较老的设备和软件中（特别是一些遗留系统），可能不完全支持 ECDSA，导致兼容性问题。不过，现代浏览器和操作系统基本都已经支持 ECDSA，因此在多数现代应用中已经不再是问题。

总结

• Let’s Encrypt R10/R11 证书使用 RSA 2048，其优点在于兼容性广泛，但密钥较长，计算效率较低，安全性与性能均不如 ECDSA P-384。
• Let’s Encrypt E5/E6 证书使用 ECDSA P-384，它提供更强的安全性（相当于 192 位对称加密强度）和更高效的性能，密钥更短，计算复杂度低，但可能在某些老旧设备或软件上不兼容。

如果你不需要考虑非常古老的系统的兼容性，ECDSA P-384（E5/E6） 是更好的选择，特别是在高性能和高安全性要求的场景中，即使将R10/R11证书的key size指定到RSA 4096，安全性也没有ECDSA P-384好，ECDSA P-384（E5/E6）在提供更高安全性的同时，还具有显著的性能优势。

申请E5/E6证书的方法看下一篇文章：

怎么申请Let’s Encrypt的E5/E6证书？